AiSOC

项目简介

AiSOC 是开源、可自托管的 AI 安全运营中心，用于接入安全遥测、融合告警、以 LLM 代理进行研判、按 MITRE ATT&CK 开展调查，并由人工批准响应动作。代理的提示、工具调用与判断理由会写入调查账本并可逐步回放；公开评测工具在 CI 中运行。项目采用 MIT 许可证，无需 API 密钥即可运行，并提供适用于 Claude、Cursor 和 Continue 的 MCP 服务器。

核心功能

• 代理的每次提示、工具调用和判断理由都会持久化到调查账本，并可在案件工作区逐步回放。公开评测工具提供覆盖抽取器、融合、模板与评审器的 200 起事件回归套件，在 CI 中运行，并可在笔记本电脑上复现。LangGraph 多代理调查由侦察、取证、响应和报告代理组成。实时融合基于 Kafka，支持亚秒级告警接入、Bloom 过滤器去重和机器学习评分。检测工程支持 OpenSearch 与 ClickHouse 上的 Sigma、YARA、KQL/EQL，并提供 ATT&CK 热图与紫队工具。企业治理包括 SAML 2.0 与 OIDC 单点登录、多租户

适用场景

• 安全运营团队可聚合告警、用 LLM 代理研判事件，并复核每项决策的依据。需要自托管 SOC 的组织可使用内置本地模型运行 AiSOC，无需 API 密钥。检测工程师可迁移 Splunk SPL、Sentinel KQL 与 Elastic EQL 规则，或安装 Sigma、YARA、KQL、EQL 检测内容。紫队可使用 Atomic Red Team 解析、Caldera 执行和 ATT&CK 覆盖热图。

快速开始

• 克隆仓库后运行 make up 启动核心栈。Windows 或尚未安装依赖的机器可使用 PowerShell 安装脚本；Linux 与 macOS 可使用 shell 安装脚本。若不想使用 Docker，可安装 aisoc-sandbox 并运行 aisoc-sandbox demo，在 30 秒内离线走完一个告警的代理流程。启动后运行 make smoke，将真实事件送入接入、检测、关联与 Postgres，再从公共 API 读回告警。运行 make doctor 可检查主机工具、内存、磁盘、端口和数据存储。

部署与要求

• Docker Compose v2，Docker 虚拟机内需 8 GB 内存与 20 GB 可用磁盘。需要 python3 3.9 及以上和 bash。首次运行会下载约 2 GB 模型到卷中，只有 make clean 会清除该卷。核心配置运行 16 个服务，约需 8 GB 内存；完整配置运行 22 个服务，约需 12 GB 内存。

采用前须知

• 许可证：MIT。在使用、修改或分发项目前，请确认其具体条款。